Windows Projected File System: Rechteerweiterung durch stackbasierten Pufferüberlauf

Zusammenfassung

Ein stackbasierter Pufferüberlauf im Windows Projected File System (ProjFS) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges lokales Konto mit niedrigen Rechten, und es ist keine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung kann die vollständige Kontrolle über das betroffene System ermöglichen (CVSS 3.1: 7.8, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit). Die Schwachstelle ist nicht aus dem Internet erreichbar, ist aber relevant, sobald ein Angreifer bereits lokalen Zugriff hat.

Betroffen

• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2019 inklusive Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Windows Server 2025 inklusive Server Core (10.0.26100.0 bis vor 10.0.26100.33822)
• Windows 10 Version 1607 und Windows Server 2016: Unbekannt.

Behoben in

• Behoben im Sicherheitsupdate von Microsoft vom November 2026. Korrigierte Builds: 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870, 10.0.26100.33822.
• Die genaue KB-Nummer pro Produkt ist in den Quellen nicht bestätigt. Im MSRC-Advisory prüfen.

Umgehung

• Es ist kein Workaround des Herstellers dokumentiert.
• Unbekannt: Ob das Deaktivieren des optionalen ProjFS-Features auf Systemen, die es nicht benötigen, die Exposition beseitigt. Vor einer Abhängigkeit davon mit den Hinweisen von MSRC prüfen.

Ausnutzung

• Nicht als aktiv ausgenutzt bekannt.
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• NVD-Status: Awaiting Analysis.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren, zuerst auf Mehrbenutzer-Servern, Terminalservern und Systemen mit lokalen Anmeldungen von Mitarbeitenden.
• KB-Nummern und korrigierte Builds vor dem Rollout im MSRC-Advisory bestätigen.
• Prüfen, ob Windows-10-Geräte noch unterstützt sind oder in den Extended Security Updates registriert sind.
• Lokale Anmelderechte einschränken und nicht vertrauenswürdige oder Dienstkonten mit lokalem Zugriff überprüfen.
• Auf unerwartete Rechteerweiterungen und neue SYSTEM-Prozesse achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA: Microsoft) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Strix CVE mirror (third-party) www.strix.ai
• Senserva KB tracker (third-party) senserva.com
• Tenable November 2026 Patch Tuesday analysis www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:15.